El 6 de septiembre pasado, a las 11:53 de la mañana, Rutas del Conflicto* recibió un mensaje desde el correo servicio.antifraude@telefonica.com, con copia a phishing@telefonica.com. “[Abuse][Ecopetrol] Exposición de información confidencial detectada en su sitio web”, decía el asunto. En este mensaje, que parecía generado de forma automática, Telefónica España dice que es la encargada de proteger la ciberseguridad y gestionar las acciones fraudulentas en contra de Ecopetrol, y advierte a Rutas del Conflicto que en su página web fue detectada información confidencial de su cliente. 

La multinacional se refiere al Acuerdo de Cooperación-AC- No. 01, publicado en la investigación Convenios de Fuerza y Justicia, realizada junto a La Liga Contra el Silencio. Allí se presentaron detalles sobre un convenio suscrito entre el Ministerio de Defensa, la Fuerza Pública, la Fiscalía y varias empresas minero-energéticas de Colombia. “El fichero disponible para descarga en este enlace”, continúa el correo, “es un documento que pertenece a nuestro cliente, y contiene información confidencial (Procedimientos internos, infraestructura, etc.) de su organización. Esta información interna representa un alto riesgo contra nuestro cliente y por ello, no ha autorizado su acceso público”. El mensaje concluye con la solicitud de darle fin a lo que ellos consideran un fraude, pidiendo que el documento referente al contrato sea eliminado inmediatamente. 

Pero este convenio, donde participan Ecopetrol, la Policía Nacional, la Fiscalía General de la Nación y el Fondo Rotatorio de la Policía (FORPO), figura en un documento encontrado en la plataforma de contratación pública Secop I. La naturaleza de la información consignada en esta plataforma es pública, en aras de garantizar la transparencia en los contratos que se celebren con instituciones del Estado. Por lo tanto, el reclamo no procede.

Raissa Carrillo, coordinadora de atención y defensa de periodistas de la Fundación para la Libertad de Prensa (FLIP), considera que la exigencia de Telefónica es grave. “No solo afecta a la difusión y a la parte colectiva de la libertad de prensa y la libertad de expresión; también puede evitar que se den más investigaciones sobre estos temas, y esto rompe con la veeduría que no solo hacen los medios, sino también la ciudadanía”, dice. El correo lo firma CyberThreats Anti-Fraud Service, de Telefónica Tech, que según su página web, es un “proveedor de Servicios de Seguridad Gestionada Inteligente”. Una división de Telefónica España que ofrece ciberseguridad con tecnología de punta. Además de Ecopetrol, tiene clientes como Mercedes Benz, Highways England y Gestamp, entre otras multinacionales.

Ante la solicitud de eliminar información pública, esta investigación presentó  derechos de petición a Ecopetrol y Telefónica para conocer qué tipo de relación tienen estas empresas y cómo pueden llegar a atentar contra el derecho a la información pública, el principio de transparencia y la libertad de prensa en el país. 

Hasta la fecha de esta publicación, Telefónica no respondió a nuestros cuestionamientos. Ecopetrol, por su lado, dice que ambas empresas tienen relaciones contractuales desde 2004, y que esos servicios son de dos tipos: uno de infraestructura de comunicaciones y otro de ciberseguridad. 

¿Ciberseguridad o censura? 

La ciberseguridad, según la Fundación Karisma, una organización de la sociedad civil que busca responder a las amenazas y oportunidades que plantea la tecnología, es “el conjunto de recursos, políticas, conceptos de seguridad, directrices, acciones, seguros y tecnologías que pueden utilizarse buscando la disponibilidad, integridad, autenticación y confidencialidad, con el fin de proteger a los usuarios en el ciberespacio”. La discusión en torno a la ciberseguridad en Colombia ha sido larga, pero poco profunda, como lo expresó Karisma en una nota de 2020. El debate se ha desarrollado en torno a una política de seguridad nacional que ha intercalado la responsabilidad entre el Estado y terceros. 

En este caso, Telefónica Tech ofrece un servicio denominado Security Operation Center (SOC), que toma medidas de seguridad digital ante ataques cibernéticos y delitos informáticos para empresas como Ecopetrol. Un ejercicio alineado con la política nacional de seguridad digital. En esto se basa Ecopetrol para argumentar que su infraestructura física y digital es vital para la seguridad energética del país. Esto los lleva a actuar frente a riesgos en el ciberespacio. 

Hasta el 19 de octubre pasado, Ecopetrol asegura haber analizado más de 3.000 intentos de phishing, identificado 3.000 publicaciones no autorizadas, y retirado más de 1.194 campañas falsas de ofertas de empleo, minimizando así el riesgo de ciberataques por medio de servicios como el SOC. La ejecución de este servicio, “emite alertas cuando detecta casos de publicaciones en los que eventualmente se pudieran violar normas de confidencialidad, vulnerar la Ley de Habeas Data o presentarse suplantaciones para engañar o defraudar a terceros”, dice la empresa. Un ejercicio que consiste en monitorear la web para ver qué información hay de la empresa y cómo puede llegar a afectarla.

Edgardo Alonso Arrieta, de la gerencia de cyberseguridad y ciberdefensa de Ecopetrol admite, en la respuesta al derecho de petición enviado, que la información publicada por Rutas del Conflicto es verídica, y que efectivamente se encuentra disponible en Secop; de modo que “no hay lugar a la solicitud de eliminar dicha información”, expresó Arrieta. La respuesta concluye haciendo énfasis en que Ecopetrol respeta la libertad de prensa, y que el SOC lo único que hace es proteger a la compañía de delitos informáticos.

Para Emmanuel Vargas, abogado, periodista y codirector de El Veinte, una asociación que combate la censura a través del litigio en Colombia, el caso de Telefónica España y Ecopetrol demuestra el interés que tienen las compañías por cuidar su reputación en internet. Esto, según Vargas, también evidencia cómo estos servicios recurren a presiones legales para que medios de comunicación como Rutas del Conflicto no afecten la reputación de sus clientes.

Otro caso particular es el de Eliminalia, una empresa catalana que ofrece eliminar las menciones a los nombres de sus clientes en la web, por medio de estrategias que rayan con la ilegalidad, como lo denunció La Silla Vacía, cuando dicha organización trató de censurar una publicación del medio a toda costa. También fueron investigados por presuntamente suplantar a funcionarios de la Unión Europea para presionar a medios de comunicación. 

Vargas considera que en el futuro otras compañías de relaciones públicas o de comunicaciones podrían ofrecer estos servicios de monitoreo web, pues cada vez más empresas empiezan a ser conscientes de la necesidad de tener una buena imagen en internet.

“Lo que uno esperaría es que la gente contrarreste sus problemas de reputación no haciendo cosas malas, pero eso no es lo que se encuentra en la práctica”, comenta Vargas. Por el contrario, lo que buscan estas compañías es borrar el contenido publicado, esconder o silenciar la información que les afecta. 

La relación entre ambas compañías es llamativa. Ecopetrol es una petrolera de economía mixta, considerada por muchos como la empresa más importante del país. En materia de derechos humanos su compromiso con garantizarlos queda en entredicho. Así lo evidencia el índice Corporate Human Rights Benchmark (CHRB), que mide a las principales empresas del mundo según su respeto a aquellos, y que le dio en 2019 una calificación de solo 40,4 puntos sobre 100.

Por su parte, Telefónica es una multinacional española dedicada a las telecomunicaciones y que promueve activamente los derechos humanos a través de campañas como #OrgulloDeTi, que recalca su compromiso con los derechos de las personas LGBT+, o de la Fundación Telefónica, que le apuesta a la transformación social por medio de la educación y la cultura digital.

Desde la perspectiva de la responsabilidad empresarial, este tipo de firmas debe contar con una política de derechos humanos que se aplique integralmente y que blinde sus acciones y a las personas que se vean afectadas de una u otra forma. La ciberseguridad también está integrada a estas acciones empresariales. 

Sin embargo, muchas veces la norma no se traslada a la acción, generando unas zonas grises de interpretación y un panorama difuso frente a las consecuencias de estos actos. “Los derechos humanos hay que tomarlos desde el momento cero, no cuando ocurre la masacre. Se deben abordar desde esa visión preventiva y tener claridad sobre lo que está impactando la ciberseguridad; por qué se hace, cómo se hace, cuándo es legítimo, cuándo no”, dijo una abogada especialista en el tema. 

¿Protección u opresión? 

Desde hace algunos años en Colombia, diferentes organizaciones, en especial de abogados, contactan a medios de comunicación o a periodistas con un reclamo: dicen que se está vulnerando el derecho al olvido de sus clientes. Como sucedió con el correo de Telefónica España, solicitan la eliminación inmediata del contenido, y advirtiendo que en caso contrario podría haber consecuencias legales.

El derecho al olvido es una faceta del derecho al habeas data que reclama la eliminación o modificación de contenido publicado en la web porque ya no cumple con la finalidad de su tratamiento. En Colombia la jurisprudencia (sentencias T-414 de 1992 luego se delimita su alcance mediante la T-277 de 2915 y T-725 de 2016, entre otras, y la jurisprudencia más reciente es la T-098 de 2017) al respecto es uniforme desde hace pocos años, y aplica solo a información financiera en bases de datos de entidades públicas y privadas.

La FLIP explica que el acceso a la información, la libertad de prensa y la libertad de expresión son derechos que prevalecen sobre el derecho al olvido. Sin embargo, persiste la estrategia de empresas que intentan eliminar o esconder las publicaciones que afectan su reputación en internet. Estas acciones, que se realizan tras identificar el contenido perjudicial a través del monitoreo web, pueden entorpecer el ejercicio periodístico con amenazas legales.

El derecho al olvido no aplica para contenidos periodísticos, pues prima el deber de informar a la ciudadanía en temas de interés público. De igual forma, el artículo 2 de la Ley 1581 de 2012 dispone que el régimen de datos personales (del cual se deriva el derecho al olvido) no se aplica a contenidos periodísticos. En Colombia, es una restricción al derecho a la libertad de expresión obligar a los medios a eliminar información relacionada con procesos penales. En nuestro país solo un juez podría restringir la libertad de expresión o de prensa.

En este panorama, los periodistas deben recurrir a otros mecanismos de protección, desde conocimiento legal para responder a estas solicitudes, hasta recursos preventivos durante el ejercicio periodístico. “Utilizar internet desde la pestaña de incógnito; esto permite que no haya una huella digital. O recurrir a otros medios para contactar a las fuentes, entre otros”, comenta Raissa Carrillo, coordinadora de atención y defensa de periodistas de la FLIP.

Pero no siempre se cuenta con una asesoría legal inmediata. Con el fin de evitar “más problemas”, los periodistas ceden a la petición y terminan borrando o desindexando el contenido. “El simple hecho de que ya les llegue la carta es desalentador, prefieren evitarse el problema. Aunque sea una decisión autónoma, es autocensura”, dice el abogado Emmanuel Vargas. 

Con la autocensura vienen los riesgos físicos y psicosociales derivados de estas solicitudes, que casi siempre buscan solo intimidar. Desde la coordinación de atención y defensas de periodistas de la FLIP han identificado que, en la mayoría de los casos, este tipo de afectaciones no son tan evidentes, y por eso es preciso prestarles mayor atención. “Si te llega una amenaza por redes sociales, eso tiene un impacto emocional y en tu seguridad física. Si esto conduce a un camino de autocensura, hay que corregir y minimizar las debilidades que uno tiene”, dice Raissa Carrillo. 

La particularidad de cada caso elevará o disminuirá la autocensura y los riesgos que se puedan presentar. Sin embargo, en todos los casos se ve una constante: las acciones que debe tomar el periodista para su autoprotección devienen en opresión. Esto ocurre porque la responsabilidad cae sobre los hombros del reportero. Es decir, se culpa al periodista por no haber sido lo suficientemente cuidadoso con la información. 

Ciberseguridad sí, pero no así 

Con todos los matices que se generan alrededor de la ciberseguridad, es importante decir que esta ha sido utilizada con fines de prevención. “No hay que decirle no a la ciberseguridad, porque hay procesos encaminados para prevenir delitos contra menores. Hay que evaluar cada caso”, dice Raissa Carrillo, de la FLIP. 

La particularidad define la ruta de acción y ha dado resultados favorables en la prevención de delitos contra menores de edad, por ejemplo. Pero en cuanto a los medios de comunicación, la ciberseguridad entra en una zona gris donde puede estar amenazada la libertad de prensa y la libertad de expresión, e incluso el acceso a información pública. 

Esta zona gris ha permitido que el concepto de ciberseguridad mute hacia variaciones como el ciberpatrullaje, un compendio de acciones de vigilancia en línea, principalmente en redes sociales. La más reciente investigación de la FLIP, titulada Los jueces de la verdad, el mar de mentiras detrás del ciberpatrullaje del Estado, revela que durante las manifestaciones sociales de este año, el Ministerio de Defensa y las Fuerzas Militares realizaron una campaña dirigida a identificar a ciudadanos que cuestionaban o criticaban su labor. 

El monitoreo web genera preguntas sobre qué criterios se evalúan antes de ejecutarlo, qué se entiende por contenido nocivo para las empresas o entidades del Estado, y qué se pretende vigilar. “Desde el Estado se están catalogando ciertos comportamientos en línea. ¿Qué tan legal es que nos estén vigilando? Ese es el problema de fondo finalmente”, señala la abogada Raissa Carrillo. Además, es clave resaltar que tanto el monitoreo web como el ciberpatrullaje se han convertido en acciones cada vez más masivas que no cuentan con mecanismos de control. 

En medio de este panorama, la ciberseguridad termina funcionando como una moneda, con dos caras: una, como mecanismo para prevenir delitos digitales; otra, como herramienta para presionar a medios de comunicación y periodistas a borrar contenidos. Esta situación invita a mantener la lupa sobre estos casos que violentan la libertad de expresión y acorralan a periodistas y medios que pueden terminar autocensurándose.

*Rutas del Conflicto es uno de los medios aliados de La Liga Contra el Silencio.